Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Contest Code Checker, específicamente en la versión del Freemius SDK hasta la 2.4.2, que carece de comprobaciones de autorización. Esta falla puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la falta de controles adecuados para verificar la autorización de los usuarios en ciertas funciones del Freemius SDK. Esto permite que un atacante pueda realizar acciones no autorizadas en el sistema, afectando así la integridad de la aplicación.

Impacto potencial

El impacto de esta vulnerabilidad es considerado medio, con un CVSS score de 6.3. Si se explota, podría permitir a un atacante ejecutar acciones en nombre de otros usuarios, lo que puede resultar en la exposición de datos sensibles o la alteración de configuraciones críticas.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que no son debidamente validadas por el sistema, lo que les permite eludir las restricciones de acceso y realizar acciones no permitidas.

Mitigación recomendada

Es crucial actualizar el plugin Contest Code Checker a la versión 1.9.0 o superior, donde se ha corregido esta vulnerabilidad. Además, se recomienda implementar medidas de seguridad adicionales, como la revisión de permisos de usuario y la monitorización de actividades sospechosas.

Señales de detección

Se deben estar atentos a registros de acceso inusuales o a intentos fallidos de ejecución de funciones administrativas, así como a cualquier comportamiento anómalo en la gestión de usuarios y permisos.

Alcance afectado

Las versiones del Freemius SDK hasta la 2.4.2 son las que presentan esta vulnerabilidad, afectando a todas las instalaciones que utilicen estas versiones en el plugin Contest Code Checker.